Sanksjonene i AI-forordningen kan nå 35 mill. euro eller 7 % av global omsetning. Detaljert oversikt over bøter etter bruddtype og sammenligning med GDPR.
Den europeiske forordningen om kunstig intelligens (forordning 2024/1689) innfører et av de strengeste sanksjonssystemene i europeisk digital rett. Med bøter på opptil 35 millioner euro eller 7 % av den globale omsetningen sender AI-forordningen et tydelig signal: manglende etterlevelse innen AI er ikke en abstrakt risiko, det er en betydelig finansiell risiko.
Artikkel 99 — Règlement (UE) 2024/1689
Medlemsstatene fastsetter reglene for sanksjoner og andre håndhevingstiltak, som også kan omfatte advarsler og ikke-økonomiske tiltak, som gjelder for operatørenes overtredelser av denne forordningen, og treffer alle nødvendige tiltak for å sikre at de gjennomføres korrekt og effektivt […].
Artikkel 99 i forordningen definerer tre sanksjonsnivåer etter overtredelsens alvor.
Det høyeste sanksjonsnivået gjelder for overtredelser av artikkel 5 (forbudte praksiser):
Boten kan nå 35 millioner euro eller 7 % av bedriftens årlige globale omsetning, det høyeste beløpet gjelder.
For en bedrift med en omsetning på 500 millioner euro representerer det potensielt 35 millioner euro i bot. For et globalt konsern med 10 milliarder euro i omsetning kan den teoretiske boten nå 700 millioner euro.
Det andre nivået sanksjonerer overtredelser av forpliktelser knyttet til høyrisiko-AI-systemer og generelle AI-modeller:
Det siste punktet er avgjørende: manglende opplæring av ansatte i AI tilhører dette nivået. En bedrift som ikke har truffet noen tiltak for å sikre et tilstrekkelig AI-kompetansenivå for sitt personale, risikerer bøter på opptil 15 millioner euro eller 3 % av den globale omsetningen.
Det tredje nivået gjelder når en bedrift gir unøyaktige, ufullstendige eller villedende opplysninger til kompetente myndigheter eller utpekte organer:
Boten kan nå 7,5 millioner euro eller 1,5 % av den årlige globale omsetningen.
For å måle alvoret i AI-forordningens regime er sammenligningen med GDPR belysende:
| Kriterium | GDPR | AI-forordningen |
|---|---|---|
| Maksimal bot (fast beløp) | 20 mill. euro | 35 mill. euro |
| Maksimal bot (% av omsetning) | 4 % av global omsetning | 7 % av global omsetning |
| Antall nivåer | 2 | 3 |
| Gjeldende siden | Mai 2018 | Gradvis (2025–2027) |
| Tilsynsmyndighet | Personvernmyndigheter | Nasjonale myndigheter + EUs AI-kontor |
EU-lovgiver har bevisst satt AI-forordningens sanksjoner over GDPRs. Budskapet er klart: risikoene ved ukontrollert AI anses som minst like alvorlige som risikoene ved personvern — og bedrifter vil bli sanksjonert tilsvarende.
Til orientering har GDPR-sanksjonene ikke forblitt rent teoretiske. I 2023 mottok Meta en bot på 1,2 milliarder euro fra den irske myndigheten. Amazon hadde fått 746 millioner euro i bot i 2021 i Luxembourg. I Norge har Datatilsynet allerede ilagt betydelige bøter under GDPR/personopplysningsloven. De europeiske myndighetene har bevist at de ikke nøler med å anvende maksimale sanksjoner overfor store selskaper.
Forordningen foreskriver en tilpasset behandling av små bedrifter. Artikkel 99(6) presiserer at bøtene skal være “effektive, proporsjonale og avskrekkende”. For SMBer og oppstartsbedrifter må myndighetene ta hensyn til bedriftens økonomiske levedyktighet.
Konkret:
Hver medlemsstat må utpeke én eller flere nasjonale kompetente myndigheter med ansvar for markedsovervåking og håndheving av forordningen. I Norge kan dette ansvaret fordeles mellom flere aktører:
Opprettet innen Europa-kommisjonen spiller Det europeiske AI-kontoret en koordinerende rolle og har direkte kompetanse over generelle AI-modeller. Det kan:
Utover bøtene bygger AI-forordningens mekanisme på et grunnleggende prinsipp: bevisbyrden påligger bedriften. Det er ikke myndighetens oppgave å bevise at dere ikke er i samsvar — det er deres oppgave å bevise at dere er det.
En målbar og sporbar kompetansescore for hver ansatt utgjør et særlig solid bevis for artikkel 4. Likeledes gjør en komplett opplæringshistorikk med datoer, innhold og resultater det mulig å bevise etterlevelse på en objektiv måte.
Ved kontroll er den mest ugunstige situasjonen ikke å ha et ufullstendig complianceprogram — det er å ikke ha et i det hele tatt. Myndighetene vil ta hensyn til innsatsen bedriften har gjort. Å ha iverksatt en strukturert tilnærming, selv ufullstendig, er alltid å foretrekke fremfor total passivitet.
📄AI-revisjon i bedriften: praktisk trinn-for-trinn-guide→Sanksjonene trer i kraft gradvis i samsvar med de ulike forpliktelsenes ikrafttreden:
| Dato | Gjeldende forpliktelser | Anvendelige sanksjoner |
|---|---|---|
| 1. februar 2025 | Forbudte praksiser (artikkel 5) | Opptil 35 mill. euro / 7 % |
| 2. august 2025 | AI-kompetanse (artikkel 4) + Generelle modeller | Opptil 15 mill. euro / 3 % |
| 2. august 2026 | Høyrisiko-AI-systemer | Opptil 15 mill. euro / 3 % |
| 2. august 2027 | Høyrisikosystemer integrert i regulerte produkter | Opptil 15 mill. euro / 3 % |
De to første fristene er allerede overskredet. Bedrifter som ennå ikke har truffet tiltak vedrørende forbudte praksiser og AI-kompetanse, befinner seg allerede i risikosonen.
De økonomiske sanksjonene er bare den synlige delen. Manglende etterlevelse av AI-forordningen eksponerer for andre like vesentlige risikoer:
Ce que ça implique pour vous
AI-forordningen innfører de strengeste sanksjonene i europeisk digital rett: 35 millioner euro eller 7 % av den globale omsetningen for forbudte praksiser, 15 millioner for høyrisikosystemer og manglende opplæring. Nøkkelen til å minimere risikoen: bevis etterlevelsen med grundig dokumentasjon, sporede opplæringer og målbare evalueringer. De første fristene er allerede overskredet — hver dag uten handling øker eksponeringen.